Condivisione della conoscenza a 44CON

44CON — Londra — Dopo una pausa di due anni, la conferenza sulla sicurezza informatica 44CON di Londra è tornata il 16 e 16 settembre 2022. Appassionati evangelisti della sicurezza si sono uniti ad architetti e manager di aziende leader nel settore tecnologico per godersi un festival di due giorni di ricerca sulla sicurezza informatica organizzato da headliner mondiali. Le persone venivano per incontrarsi, fare affari, parlare e imparare, con l'equipaggio di 44CON che offriva divertimento, ottimo cibo e intrattenimento a tema di sicurezza informatica.

È un po' come il Babylon 5 della comunità informatica del Regno Unito.

Ho chiesto ad Adrian Mahieu, il fondatore di 44CON e la forza trainante della resurrezione della conferenza, ciò che lo ha motivato a ripartire post-COVID. "Volevo organizzare una conferenza alla quale mi piacerebbe partecipare, con alcuni discorsi tecnici seri e approfonditi, alcuni sponsor interessanti che non sono i soliti sospetti che vedrai in altre conferenze sulla sicurezza tecnica, ma molto interessanti per me è far sì che le persone parlino e imparino le une dalle altre”, afferma.

Questa attenzione si manifesta anche in aspetti semplici come il modo in cui gli organizzatori della conferenza hanno dedicato un'ampia area comune ai tavoli, consentendo ai partecipanti di condividere un caffè, gustare del cibo eccellente o semplicemente organizzare sessioni improvvisate di uccelli di piume. Sono presenti persone in tutte le fasi della loro carriera nel campo della sicurezza informatica, dai neolaureati entusiasti che creano contatti ai leader del settore che individuano talenti e creano team, nonché un buon numero di persone che giustificano il descrittore "esperto".

Erano rappresentati diversi settori industriali, tra cui intrattenimento radiotelevisivo e fornitori di servizi cloud. "Dico ai venditori che tutto ciò che devono portare è uno sfondo per il tavolo degli espositori", spiega Mahieu. "Non voglio che quei grandi stand sontuosi occupino lo spazio comune, voglio che tutti si sentano liberi di parlare insieme!"

L'intrattenimento della serata includeva un wargame sulle comunicazioni di sicurezza progettato e ospitato da sviluppatori di giochi innovativi Forbici per carta di pietra. Threat Condition simula i problemi e le problematiche che derivano da un attacco informatico dannoso per la reputazione ed evidenzia le conseguenti sfide organizzative e comunicative. SPS ha progettato quello che penso possa essere il miglior wargame da tavolo con scenari di ripristino di emergenza che abbia mai visto.

Una cosa che differenzia 44CON dalle altre conferenze sono le sue precauzioni COVID-19. 44CON ha installato purificatori d'aria ad alta potenza in tutta la sede per fornire aria pulita e respirabile ai partecipanti.

Chat di Chatham House

Le discussioni si svolgono sotto il Regola di Chatham House, consentendo alle persone di parlare e condividere liberamente le proprie ricerche. In tale veste, ho potuto avere una conversazione approfondita con uno degli esperti mondiali di sicurezza cloud. Abbiamo discusso del tipo di eventi che vede e quali sono gli eventi di "allarme antincendio".

“L’identità è sempre al primo posto”, ha detto. "Il nostro CIRT risponde in pochi minuti a una perdita di credenziali su un repository pubblico di codice sorgente." Quando si considera la sicurezza basata sull’identità, il problema di coloro che si uniscono, si muovono e chi abbandona diventa molto importante, poiché tutto ciò che il fornitore di servizi cloud vede è un token. “Ci troviamo di fronte a una scelta quando ottimizziamo la durata del token: troppo breve, e l'esperienza dell'utente diventa schifosa con sfide di accesso troppo frequenti; troppo lungo e il token diventa vulnerabile in casi come il furto di endpoint." È possibile valutare il rischio di ogni transazione dall'endpoint. Ma data l'ampiezza dell'attività di qualsiasi utente di servizi cloud, ciò si scontra rapidamente con la barriera della scalabilità della sicurezza.

Sempre curioso di sapere come si sta evolvendo il problema degli insider, ho colto l'occasione per chiedere in che modo i principali fornitori di servizi cloud stanno affrontando problemi tradizionalmente complicati come la DLP e come questo migra in un ambiente cloud. Molti professionisti della sicurezza hanno ancora difficoltà a convertire la loro mentalità legacy in una mentalità cloud-native. Il mio esperto di sicurezza era ansioso di illustrarlo: “Vediamo un problema comune in cui un utente di un'applicazione aziendale esfiltra informazioni in bucket AWS personali. Ciò significa che il registro cloud si trova nel loro bucket personale e l'azienda non ne ha visibilità. Tuttavia, la risposta è semplice: consigliamo ai clienti aziendali di creare una policy basata sui servizi che limiti l’accesso ai bucket di proprietà dell’azienda”.

Ciò significa che molti professionisti della sicurezza sono ancora limitati al pensiero legacy e ai modelli architettonici, un indicatore chiave di ciò è quando i professionisti provano a filtrare in base all’indirizzo IP, tentando fondamentalmente di ricreare il loro data center tradizionale in un ambiente di servizi cloud. Le istanze cloud sono effimere per natura, consentendo ad architetti e sviluppatori esperti di creare e distruggere istanze su richiesta. Gli indirizzi IP semplicemente non contano in questo contesto.

Partecipare e presentare

Gli eventi Capture-the-flag (CTF) sono un punto fermo per molte conferenze sulla sicurezza informatica, ma anche qui 44CON ha la sua interpretazione. Il CTF di quest'anno è stato organizzato da Trace Labs, un'organizzazione no-profit canadese che collabora con le forze dell'ordine per sfruttare la potenza della raccolta OSINT in crowdsourcing per assistere nelle indagini in corso sulle persone scomparse. Invece di scagliare i loro kit di exploit contro un bersaglio, i concorrenti sono stati invitati a “usare i loro poteri a fin di bene” e a prendere casi reali di persone scomparse e andare a caccia dei pezzi mancanti dell'intelligence open sourceo bandiere. Più bandiere trova una squadra, più punti ottiene, contribuendo allo stesso tempo a rendere più completo il database delle persone scomparse.

E riservando il meglio per ultimo: i colloqui! Con la partecipazione di James Forshaw di Google Project Zero, le presentazioni sono state superbe disponibile, consentendo a tutti noi di conoscere le ultime novità in fatto di vulnerabilità e sfruttamento, indipendentemente dal fatto che tu sia un membro del team rosso o blu. Erlend Andreas Gjære, co-fondatore e CEO del consulente di formazione sulla sicurezza Secure Practice, ha parlato della necessità di un tocco umano nella sicurezza informatica, e il misterioso sconosciuto identificato solo come "cybergibbons" ha spiegato come ha preso il controllo di navi da crociera, piattaforme petrolifere e altre navi della marina mercantile in un discorso intitolato "Adesso sono il capitano!"

Ultimo ma non meno importante è stato l'intervento stimolante di Haroon Meer, che ha chiuso la conferenza esortando tutti i partecipanti a liberare la propria innovazione e creare prodotti di sicurezza di cui il mondo ha bisogno. Meer ha osservato come molti dei prodotti attualmente sul mercato siano olio di serpente, spacciato da persone che non lasceresti sole a casa con tua nonna. Ha anche sottolineato che il percorso verso un'attività SaaS redditizia è semplicemente quello di trovare qualcosa che 1,000 persone vorranno utilizzare: forse il miglior consiglio per gli imprenditori in erba da allora. Il pitch deck a cinque diapositive di Ron Gula.